Sikkerhed og overholdelse
Vi opretholder de højeste standarder for at beskytte dine data og sikre tillid.
Indberetning af et sikkerhedsproblem
Devolutions Inc. er dedikeret til at udvise enestående rettidig omhu, når vi udvikler og leverer løsninger, for at forebygge og afbøde trusler, der kan påvirke vores kunders data negativt og vores evne til at levere sikre, pålidelige og regelrette produkter og tjenester. For at nå dette afgørende mål anvender vi førende rammeværker, standarder, kontroller, processer og bedste praksis i branchen, herunder vores private bug bounty-program.
Om programmet
Gennemsigtighed er en grundlæggende kerneværdi hos Devolutions, fordi den fremmer sunde relationer, skaber tillid og understøtter en kultur med åbenhed, forbedring og innovation. Vores bug bounty-program, som ligger på YesWeHack.com, opfordrer forskere til at prøve at “angribe og bryde” vores produkter, så vi proaktivt kan udbedre sårbarheder og rette kode- og programmeringsfejl.
Bemærk, at tilmelding til vores bug bounty-program i øjeblikket kun sker efter invitation via YesWeHack.com.
For at anmode om en invitation skal du sende dit YesWeHack-brugernavn på e-mail til security@devolutions.net.
Ansvarlig offentliggørelse
Vi opfordrer løbende forskere og kunder til at indberette identificerede sårbarheder. For bedre at beskytte vores kunder forbliver indberetninger fortrolige, indtil sårbarhederne er bekræftet, udbedret og frigivet i produktion af Devolutions. Vi bestræber os på at håndtere sårbarheder inden for en rimelig tidsramme, som branchen accepterer.
Omfang af bug bounty-programmet
Følgende produkter og tjenester er inden for omfanget af vores bug bounty-program:
-
Devolutions Server
-
Remote Desktop Manager (Windows)
-
Devolutions Gateway
-
Devolutions Cloud
-
Devolutions Send
-
Devolutions Portal og Devolutions Account
-
Devolutions Crypto
-
Webstedet og bloggen på devolutions.net
Det fulde omfang, reglerne og undtagelserne står på programsiden på YesWeHack.
Indberetning af et sikkerhedsproblem
Selv om vi passer på sikkerheden i vores produkter, kan sikkerhedens hastige forandring og kompleksitet utilsigtet udsætte vores software eller den understøttende infrastruktur for sårbarheder. Hvis du finder en sådan sårbarhed, bedes du sende os din indberetning i tide. Sårbarheder inden for omfanget af vores bug bounty-program skal indberettes via vores YesWeHack-program; vi modtager dem ikke på e-mail. Ved problemer uden for programmets omfang kan du skrive til os på security@devolutions.net. Indberetningen bør indeholde følgende:
-
En klar beskrivelse af sårbarheden, hvordan den kan udnyttes, og dens sikkerhedsmæssige konsekvens for applikationen, dens brugere og Devolutions.
-
Fuldstændige trin til at genskabe den, herunder kodestykker, payloads eller kommandoer, når det er nødvendigt.
-
Bevis for udnyttelsen, for eksempel skærmbilleder, der viser exploit og den endelige konsekvens.
-
Råd om afhjælpning, hvis det er muligt og relevant.
Når den er sendt, bedes du give os en rimelig tidsramme til at give tilbagemelding. Vores sikkerhedsteam skal:
-
Genskabe og bekræfte sårbarheden, som den er beskrevet i din indberetning.
-
Fastlægge en alvorlighedsscore efter CVSS 3.1.
-
Vurdere anbefalingerne i din indberetning og lægge en handlingsplan sammen med de relevante teams.
-
Holde kommunikationen med indberetteren, indtil sagen er løst.
Vi beder dig holde indberetningen og dens indhold fortroligt, indtil de rette korrigerende tiltag er frigivet i produktion. Bemærk også, at misbrug af en indberettet sårbarhed eller udnyttelse af den til ulovlige, ondsindede eller andre upassende formål kan medføre retlige skridt mod indberetteren, som kan føre til civilretligt eller strafferetligt ansvar. En handling anses for misbrugende eller upassende, når dens formål kompromitterer kunde- eller interne fortrolige oplysninger på en utilbørlig eller uforholdsmæssig måde, eller når handlingen har et andet formål end at demonstrere en sårbarhed.
Belønninger
Forskere belønnes for indberettede sårbarheder* på tre vigtige måder:
Når en sårbarhed er rettet, og en patch er frigivet i produktion, kan forskere offentliggøre deres fund og bidrag på deres blog eller sociale medier. Det løfter deres profil og anseelse i it- og it-sikkerhedsmiljøerne og kan støtte deres karrieremål. På anmodning krediterer vi også forskere, der indberetter gyldige sårbarheder, i vores sikkerhedsmeddelelser.
Vi tilbyder økonomiske belønninger** baseret på alvorligheden i CVSS 3.1 og den faktiske forretningsmæssige konsekvens af hver indberettet sårbarhed. Ved kritiske problemer kan forskere tjene op til 5.000,00 USD pr. problem.
Fra tid til anden kan vi også give deltagende forskere reklameartikler med Devolutions-brand.
*En sårbarhed er et hul eller en svaghed i applikationen, som kan være en designfejl eller en implementeringsfejl, der gør det muligt for en angriber at skade en applikations interessenter. Interessenter omfatter applikationens ejer, applikationens brugere og andre enheder, der er afhængige af applikationen.
**Udbetalingsbeløb varierer efter antallet af sårbarheder eller berørte komponenter samt indberetningens samlede kvalitet. Kun den første, der indberetter en kvalificerende sårbarhed, er berettiget til en økonomisk belønning. Nuværende og tidligere medarbejdere hos Devolutions og hos virksomhedens kontraktører er ikke berettigede.
Sådan tilmelder du dig
På nuværende tidspunkt sker tilmelding til vores bug bounty-program kun efter invitation. Vi uddeler invitationer til sikkerhedsforskere og kunder ved forskellige arrangementer i løbet af året (f.eks. Hackfest, NorthSec osv.). Du kan også anmode om en invitation når som helst: Opret en konto på YesWeHack.com, og send derefter dit YesWeHack-brugernavn på e-mail til security@devolutions.net, så inviterer vi dig til programmet.
Ved at tilmelde dig vores bug bounty-program giver du os lov til at kommunikere med dig på e-mail for at svare på dine indsendelser, anmodninger og forespørgsler og til andre formål i forbindelse med administrationen af programmet eller din deltagelse i programmet generelt.
Vil du deltage eller vide mere om programmet?
Kontakt sikkerhedsteamet for at deltage i Devolutions' private bug bounty-program!
